Çalışanlara tahsis edilen kurumsal e-posta hesaplarının işverene ait olması, bu hesapların işveren tarafından sınırsız denetlenebileceği düşüncesine yol açsa da kurumsal e-posta hesapları, yalnızca bir iletişim aracı değil; çalışanın mesleki ve zaman zaman kişisel ilişkilerine, çalışma alışkanlıklarına ve yazışma içeriklerine ilişkin verileri de barındıran alanlardır. Bu nedenle söz konusu hesapların denetlenmesi, işverenin yönetim hakkı ile çalışanın Anayasa’nın 20. ve 22. maddeleri kapsamında korunan kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyeti arasında denge kurulmasını gerektirir.

Kişisel Verileri Koruma Kurulu, 08.10.2026 tarihli Resmî Gazete ’de yayımlanan 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı ile kurumsal e-posta hesaplarının denetlenmesinde uyulması gereken esasları belirlemiştir. Bu konuda bir ilke kararı alınmış olması, işyerinde iletişim araçlarının denetlenmesine ilişkin sorunların uygulamada ne ölçüde yaygın olduğunu göstermektedir. Karar yalnızca kurumsal e-posta hesaplarını değil; kurum içi mesajlaşma uygulamalarını, kurumsal anlık iletişim hesaplarını, müşteri ilişkileri yönetim sistemlerini ve toplantı platformlarındaki sohbet ve kayıt alanlarını da kapsamaktadır.

- Kararın ilk ve belki de en önemli tespiti, işverenin e-postaların içeriğine hiç erişmeksizin yalnızca trafik ve log kayıtlarını işlemesinin dahi başlı başına bir kişisel veri işleme faaliyeti olduğudur.

Bu nedenle, e-posta denetiminin her aşamasında KVKK’nın kişisel veri işlemeye ilişkin genel ilke ve yükümlülüklerine uyulması gerekir. Kurul, iletişim araçlarının işverene ait olmasının ya da işyerinde kullanılmasının işverene sınırsız bir denetim yetkisi tanımadığını özellikle vurgulamıştır. Aynı şekilde işverenin bir cihaz, ağ ya da kurumsal sistem üzerinde teknik yetkiye sahip olması, çalışanın kişisel e-posta hesabı, kişisel mesajlaşma uygulaması veya sosyal medya mesaj kutusundaki yazışmalara serbestçe erişebileceği anlamına gelmemektedir. Kurul’un ifadesiyle teknik erişim imkanı ile hukuki erişim yetkisi birbirinden ayrılmalıdır.

- Kurul, denetimin kapsamının belirlenmesinde iletişim araçlarının iş amaçlı ve özel amaçlı kullanımı arasındaki ayrımın dikkate alınması gerektiğini belirtmektedir.

İşveren, yönetim hakkı kapsamında özel amaçlı kullanıma ilişkin kurallar koyabilir; ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması gerekir. Özel kullanımın yasaklandığı hallerde dahi denetim yetkisi ölçülülük ilkesiyle sınırlıdır; sürekli ve aralıksız bir gözetim ölçülü kabul edilmeyecek, yasağın ihlal edildiği içerik dışı unsurlardan anlaşılabiliyorsa yazışmaların içeriğine ayrıca erişilmesi gerekli ve orantılı sayılmayacaktır. Özel kullanıma izin verilen hâllerde ise, iş amaçlı ve özel amaçlı iletişim birbirinden ayrılabiliyorsa denetim yalnızca iş amaçlı iletişimle sınırlı tutulmalı; ayrılamıyorsa işverenin denetim yetkisi daha dar yorumlanmalıdır.

- Kararın uygulama bakımından dikkat çeken bir diğer yönü, bilgilendirme ile aydınlatma arasında yapılan ayrımdır.

Anayasa Mahkemesi ve Avrupa İnsan Hakları Mahkemesi’nin konuya ilişkin kararlarında, işverenin denetim yetkisinin çalışanın önceden açık biçimde bilgilendirilmesine bağlı olduğu kabul edilmektedir. Kurul ise Anayasa Mahkemesi içtihadında aranan bilgilendirme ile KVKK’nın 10. maddesindeki aydınlatma yükümlülüğünün birebir aynı kavramlar olmadığını tespit etmiştir. Bu nedenle iş sözleşmelerinde veya şirket politikalarında sıklıkla yer alan “kurumsal e-posta hesabınız işveren tarafından denetlenebilir” türünden genel bildirimler, ne bilgilendirme koşulunu ne de aydınlatma yükümlülüğünü karşılayacaktır. Kurul’a göre aydınlatmanın, denetimin hukuki sebebini, amacını ve kapsamını, denetimin trafik kayıtları üzerinden mi yoksa içerik incelemesiyle mi yapılacağını, içeriğe hangi hallerde erişilebileceğini, verilerin saklama süresini ve çalışanın KVKK’nın 11. maddesindeki haklarını somut biçimde içermesi gerekmektedir.

- Hukuki dayanak bakımından Kurul, iş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle açık rızanın kural olarak öncelikli hukuki dayanak olarak esas alınmaması gerektiğini belirtmiştir.

Kurul açık rızaya dayanılan hallerde ise her somut olay özelinde rızanın özgür iradeyle açıklanıp açıklanmadığının değerlendirilmesi gerektiği belirtmiştir. Ayrıca denetim faaliyeti kapsamında gerçekleştirilen kişisel veri işlemede hukuki dayanak olarak, her somut olayın koşullarına göre, hukuki yükümlülük, bir hakkın tesisi, kullanılması veya korunması ve veri sorumlusunun meşru menfaati şartlarının varlığı aranmalıdır. Ancak bu şartların varlığı da işverene sınırsız bir denetim yetkisi tanımamaktadır.

- Karar’da denetimde kademeliliğin esas olduğu da açıkça ortaya konulmuş olup, işveren, meşru amacına daha az müdahaleci bir yolla ulaşabiliyorsa daha ağır bir denetim yöntemine başvuramayacaktır.

İçeriğe erişim ancak trafik verisi denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hallerde, somut bir şüphenin varlığı halinde ve bu şüpheyle sınırlı olarak gündeme gelebilecektir. Kötüye kullanımın filtreleme veya engelleme gibi teknik yollarla önlenebildiği hallerde ise işverenin genel bir denetim hakkı doğmayacaktır.

- İçerik denetiminde özel nitelikli kişisel veriler ve üçüncü kişilere ait veriler gözetilmeli, gizli izleme yöntemlerinden kaçınılmalıdır.

Kurul, denetime tabi tutulan e-postaların içeriğinde ya da eklerinde sadece kişisel veri değil aynı zamanda özel nitelikli kişisel verilerin de olabileceğine dikkat çekmektedir. Ayrıca çalışanların yazışmaları, iletilen muhataplara dair de kişisel veriler içerebileceğinden, denetim sırasında üçüncü kişilerin verilerinin de işlendiği göz önünde bulundurulmalıdır.

Diğer taraftan çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri veya tüm işlemleri ayrım gözetmeksizin kaydeden araçlarla gerçekleştirilen denetimler hukuka aykırı kabul edilmektedir.

- Karar’da denetim sonucunda elde edilen verilerin güvenliğinin sağlanması ve saklama sürelerine uyulması gerektiği vurgulanmaktadır.

Kurul, bu kapsamda verilere erişimin yalnızca yetkilendirilmiş sınırlı sayıdaki personelle sınırlandırılması, erişim kayıtlarının tutulması ve erişimi olan kişilerin gizlilik yükümlülüğü altında bulunması gerektiğini belirtmektedir. Ayrıca, iş ilişkisinin sona ermesiyle birlikte çalışana tahsis edilen kurumsal e-posta hesabı kural olarak kapatılmalı, hesaba gelen iletiler ilgisiz kişilerce görüntülenmemeli ve hukuki dayanağı kalmayan veriler imha edilmelidir. İşin sürekliliğinin sağlanması veya hukuki uyuşmazlıklarda savunma hakkının kullanılması amacıyla başvurulan yönlendirme, otomatik cevap ve arşivleme uygulamaları ise sınırlı ve süreli olmalı; erişim yetkileri önceden belirlenmelidir.

Son olarak Kurul, belirlenen yükümlülüklere uyulmadığının tespiti halinde somut olayın özellikleri dikkate alınarak gerekli incelemenin yapılacağını ve KVKK’nın 18. maddesi uyarınca idari yaptırım uygulanabileceğini belirtmektedir.

İlke Kararı doğrultusunda işverenlerin mevcut e-posta ve iletişim politikalarını, aydınlatma metinlerini ve denetim uygulamalarını gözden geçirmeleri önem taşımaktadır. Denetimin açık, öngörülebilir ve ölçülü bir şekilde yürütülmesi hem işverenin yönetim hakkının kullanılabilmesi hem de çalışanların temel haklarının korunması bakımından gereklidir.

Av. Merve Zeytinoğlu